服务器安全进阶与防 DDoS 完全指南

#!/bin/bash
# 文件路径：/usr/local/bin/update-cf-whitelist.sh
# 功能：拉取 Cloudflare 最新 IP 段，只允许 CF 节点访问 80/443，封闭所有其他来源
# 建议每周执行一次（加入 Cron）：0 4 * * 1 /usr/local/bin/update-cf-whitelist.sh

# 先关闭对 Web 端口的所有公网访问
ufw deny 80/tcp
ufw deny 443/tcp

# 拉取 Cloudflare 最新的 IPv4 地址段并逐一放行
# 截至 2026 年，CF IPv4 包含约 15 个 CIDR 块，如 103.21.244.0/22, 141.101.64.0/18 等
echo "正在更新 Cloudflare IPv4 白名单..."
for ip in $(curl -s https://www.cloudflare.com/ips-v4); do
    ufw allow from "$ip" to any port 80,443 proto tcp comment "CF-IPv4"
done

# 同样放行 Cloudflare IPv6 地址段
echo "正在更新 Cloudflare IPv6 白名单..."
for ip in $(curl -s https://www.cloudflare.com/ips-v6); do
    ufw allow from "$ip" to any port 80,443 proto tcp comment "CF-IPv6"
done

echo "Cloudflare 白名单更新完成！当前规则："
ufw status | grep CF

# 文件路径：/etc/nginx/sites-available/default
# 此配置必须排在其他 server{} 块之前，作为 Nginx 最先匹配的"兜底"规则

server {
    # 同时监听 IPv4 与 IPv6，default_server 让 Nginx 把所有"无主"请求转到这里
    listen 80  default_server;
    listen [::]:80  default_server;
    listen 443 ssl default_server;
    listen [::]:443 ssl default_server;

    server_name _;  # 匹配任意 Host 头，包括直接 IP 访问

    # ⚠️  必须配置一个证书，否则 443 上的 TLS 握手会失败并泄露报错信息
    # 使用系统自带的蛇油（self-signed）证书即可，无需真实证书
    ssl_certificate     /etc/ssl/certs/ssl-cert-snakeoil.pem;
    ssl_certificate_key /etc/ssl/private/ssl-cert-snakeoil.key;

    # 444 是 Nginx 专有非标准状态码
    # 效果：直接在 TCP 层关闭连接，不返回任何 HTTP 报头或报文
    # 对扫描器来说：它发出请求，什么都收不到，超时后才能判断结果——极大拖慢扫描效率
    return 444;
}

# 前提：普通管理用户、密钥登录和 sudo 已在另一个终端验证
# Debian / Ubuntu 可将自定义项放入：
# /etc/ssh/sshd_config.d/90-vpsknow-hardening.conf

# 【第一步】禁用密码与交互式认证，强制使用已验证的密钥
PasswordAuthentication no
KbdInteractiveAuthentication no
PubkeyAuthentication yes

# 【第二步】禁用 root 用户直接登录（使用普通用户 sudo）
PermitRootLogin no

# 【第三步】限制只允许特定用户登录（改为实际用户名）
AllowUsers youruser

# 【第四步】关闭不使用的转发能力；依赖 SSH 隧道时不要照抄
X11Forwarding no
AllowTcpForwarding no

# 【第五步】限制失联客户端占用；这不是严格的“无操作超时”
ClientAliveInterval 180
ClientAliveCountMax 2

# 【第六步】限制单连接认证失败次数
MaxAuthTries 3

# 可选：自定义端口主要减少扫描噪声，不替代以上措施
# 修改前先放行新端口，并核对发行版的 socket activation 行为
# Port 39217

# 保存后先校验；失败时不要重载或退出旧会话
sudo sshd -t
sudo systemctl reload ssh

# 最后在新终端验证密钥、端口和 sudo，再关闭旧会话

# 安装 knockd（端口敲门守护程序）
sudo apt install knockd -y

# 编辑配置文件：/etc/knockd.conf
[options]
    UseSyslog

# 定义一个"开门"序列：依次敲 7000(tcp) → 8000(udp) → 9000(tcp)，10秒内完成
[openSSH]
    sequence    = 7000,8000,9000
    seq_timeout = 10
    tcpflags    = syn
    command     = /sbin/ufw allow from %IP% to any port 39217 proto tcp
    # %IP% 是 knockd 自动替换为发起敲门客户端的真实 IP

# 定义一个"关门"序列：依次敲 9000 → 8000 → 7000 关闭访问
[closeSSH]
    sequence    = 9000,8000,7000
    seq_timeout = 10
    tcpflags    = syn
    command     = /sbin/ufw delete allow from %IP% to any port 39217 proto tcp

# 启动 knockd 服务
sudo systemctl enable --now knockd

# 在您的本地电脑上安装 knock 客户端
# macOS:   brew install knock
# Linux:   sudo apt install knockd
# Windows: 使用 nmap 模拟，见下文

# 执行敲门序列（依次向三个端口发一个 TCP SYN 包）
knock -v 1.2.3.4 7000 8000:udp 9000
# 1.2.3.4 替换为您的服务器公网 IP

# 敲完后 SSH 连接（使用修改后的端口）
ssh -p 39217 youruser@1.2.3.4

# Windows 用户用 nmap 模拟敲门
nmap -Pn --host-timeout 100 --max-retries 0 -p 7000 1.2.3.4
nmap -Pn --host-timeout 100 --max-retries 0 -p U:8000 1.2.3.4
nmap -Pn --host-timeout 100 --max-retries 0 -p 9000 1.2.3.4

# ── 兼容方案：iptables 命令界面（先确认实际后端）────────────────────────
# Ubuntu 20.10+ 的 iptables 命令通常使用 nftables 后端：
# update-alternatives --display iptables

# 规则1：限制单个 IP 在 80/443 端口的并发 TCP 半连接数上限为 20
# connlimit 统计的是处于 SYN_RECV 状态的连接（即尚未完成三次握手的连接）
# --reject-with tcp-reset 相比 DROP，能让客户端更快感知到拒绝，节省服务器资源
iptables -A INPUT -p tcp --syn --dport 80  -m connlimit --connlimit-above 20 -j REJECT --reject-with tcp-reset
iptables -A INPUT -p tcp --syn --dport 443 -m connlimit --connlimit-above 20 -j REJECT --reject-with tcp-reset

# 规则2：限制新建连接速率（每秒超过 30 个新 SYN 包的 IP 直接封禁 60 秒）
# 这能有效阻断 SYN Flood：正常用户每秒新建连接不会超过个位数
iptables -A INPUT -p tcp --syn -m recent --name syn_flood --update --seconds 1 --hitcount 30 -j DROP
iptables -A INPUT -p tcp --syn -m recent --name syn_flood --set

# 规则3：ICMP 洪水防护（ping 频率限制，每秒最多 1 次，突发最多 5 次）
iptables -A INPUT -p icmp -m limit --limit 1/s --limit-burst 5 -j ACCEPT
iptables -A INPUT -p icmp -j DROP

# 持久化保存规则（重启后不丢失）
apt install iptables-persistent -y
netfilter-persistent save

# ── 推荐方案：原生 nftables（现代 Ubuntu / Debian）────────────────────
# nftables 是 iptables 的官方继任者，语法更清晰，性能更优

# 编辑或创建：/etc/nftables.conf
table inet filter {
    # 使用 meter（流量计）为每个 IP 单独计数，比 iptables connlimit 精度更高
    set tcp_flood {
        type ipv4_addr
        flags dynamic, timeout
        timeout 60s  # 计数器 60 秒后自动清零
    }

    chain input {
        type filter hook input priority 0; policy accept;

        # 限制单个 IPv4 来源每 10 秒内的 TCP SYN 数量
        # 超过 60 个即视为 SYN Flood，直接丢包
        ip protocol tcp tcp flags syn             add @tcp_flood { ip saddr limit rate over 60/minute }             drop

        # ICMP 速率限制（防止 ping 洪水）
        ip protocol icmp limit rate 10/second accept
        ip protocol icmp drop
    }
}

# 应用配置并设置开机自启
systemctl enable --now nftables
nft -f /etc/nftables.conf

# 编辑或创建：/etc/fail2ban/jail.d/nginx-local.conf
# 只覆盖本站需要的 jail，避免复制整份 jail.conf 后长期漂移

[DEFAULT]
# 默认只信任本机；固定管理 IP 应确认归属和变更流程后再加入
ignoreip = 127.0.0.1/8 ::1

# 使用发行版自带的 nginx-botsearch 过滤器
[nginx-botsearch]
enabled  = true
port     = http,https
logpath  = %(nginx_error_log)s
# 先观察错误日志中的真实命中，再按正常流量调参
maxretry = 5
findtime = 10m
bantime  = 1h

# 上线前测试配置和真实日志；失败时不要重启服务
# fail2ban-client -t
# fail2ban-regex /var/log/nginx/error.log /etc/fail2ban/filter.d/nginx-botsearch.conf
# systemctl reload fail2ban
# fail2ban-client status nginx-botsearch

# 1. 先确认 Nginx 日志中的来源 IP 是真实访客，而不是 Cloudflare 节点
tail -n 20 /var/log/nginx/access.log

# 2. 确认 Fail2ban 实际读取的日志和命中结果
fail2ban-client status
fail2ban-client status nginx-botsearch

# 3. 在 Cloudflare 控制台创建账户级 IP List，例如：blocked_ips
# 4. 在 WAF 自定义规则中引用：
#    ip.src in $blocked_ips
#    动作优先选择 Managed Challenge；确认无误后再考虑 Block

# 5. 自动化时使用最小权限、可过期的 API Token
#    不要把 Token 写进公开仓库、网页代码或命令历史

# 6. 设置过期与回收机制，避免临时封禁永久累积
# 7. 从外部网络验证规则，并在 Security Events 中检查命中